Sekundární VPN patří k jednomu profilu Wi-Fi, ne ke všem

Nastavte VPN jako sekundární připojení domácí Wi-Fi a všechno funguje, dokud se notebook nepřipojí k jinému přístupovému bodu a tunel nezůstane dole. Nové připojení je samostatný konfigurační objekt s vlastním UUID a nemá důvod vědět o vazbě, kterou jste vytvořili pro jeho předchůdce. Nic se nepokazilo; spojení prostě nikdy neexistovalo.

Referenční příručka připojení NetworkManageru definuje sekundární jako UUID, která se aktivují spolu s určitým základním připojením. Také uvádí, že běžné profily VPN neimplementují automatickou aktivaci tak jako základní připojení. Obě tvrzení vedou ke stejnému závěru: spojení je pro každý profil a někdo jej musí vytvořit pro každý nový.

Co sekundární připojení vlastně je

Základní připojení má identitu, UUID a seznam sekundárních. Když se aktivuje, správce aktivuje i tato sekundární v pořadí, a tak VPN následuje síť Wi-Fi bez ručního kliknutí. Vztah žije na základním připojení a je zapsán jako řetězce UUID, nikoli jako názvy. Tato volba reprezentace není náhodná; právě ona umožňuje, aby spojení přežilo přejmenování.

Tento detail s názvy je důležitější, než se zdá. Přejmenování profilu VPN nechává jeho UUID nedotčené, takže stávající spojení dál fungují. Smazání starého profilu a import nového vytvoří nové UUID a každé spojení, které ukazovalo na staré, teď neukazuje na nic.

Prohlédněte stávající seznam, než něco přidáte. Domácí profil s jedním sekundárním není pravidlo, které sedí na každé SSID; je to jeden řádek v jednom objektu a nebude se konzultovat, když se aktivuje jiná základna.

Umístěte spojení tam, kde se profily vytvářejí

Na osobním stroji udělejte z připojení zamýšleného sekundárního součást přidávání každého povoleného profilu Wi-Fi. Je to zvyk, ne funkce, ale zvyk, který vytváří konzistentní stav, a stojí jeden příkaz nebo dvě návštěvy dialogu na každou síť. Veďte si krátkou poznámku o tom, které sítě mají nést tunel, protože seznam je politika.

Na spravovaných zařízeních ať proces zřizování vytváří záznam Wi-Fi i jeho spojení s VPN v jednom kroku a stejně postupujte u povolených profilů, které už existují. Distribuce profilu VPN samotného nechává základní vztahy neurčené, a tak flotila skončí s tunelem, který používá jen polovina notebooků.

Tam, kde uživatelé stále mohou vytvářet profily mimo spravovanou cestu, výslovně rozhodněte, co se s těmito záznamy stane. Předpoklad, že zdědí spojení, není politika; je to naděje s náklady na podporu.

Naplánujte změnu identity VPN

Zdroj zřizování potřebuje UUID zamýšlené VPN, ne zobrazovaný název, který někdo odhadl. Když údržba nahradí tuto VPN čerstvě importovaným objektem, aktualizujte šablonu zřizování i dotčená stávající spojení v téže změně. Přejmenování není nahrazení a zacházení s oběma jako s ekvivalentními je způsob, jak funkční zavádění o týden později selže.

Uložte UUID vedle důvodu, proč existuje. Budoucí inženýr, který najde holé UUID v seznamu sekundárních, nemá jak zjistit, zda je aktuální, a pravděpodobně je při uklízení smaže.

Aktivace není vynucení

Žádost o sekundární probíhá v době aktivace. Neblokuje aplikace během intervalu před dokončením autentizace a nezastavuje provoz poté, co tunel selže. To jsou různé vlastnosti zajišťované různými mechanismy a jejich slučování vytváří návrh, který vypadá striktně v profilu a v praxi je povolný.

Blokování přímého provozu je samostatná funkce s vlastní konfigurací a vlastními režimy selhání a musí počítat s provozem, který se musí dostat do sítě, než může existovat jakýkoli tunel: captive portály, přihlašovací stránky, samotný koncový bod. Zásada blokování, kterou nelze splnit před autentizací, uzamkne stroj mimo právě tu síť, kterou potřebuje.

Dejte tento rozdíl do pokynů, které uživatelé skutečně čtou. Nová síť Wi-Fi může požádat o tunel; vynucení rozhoduje, zda může něco odejít, když se nelze připojit. Uživatelé, kterým se řekla jen první polovina, nahlásí návrh jako rozbitý.

Testujte se skutečně novým profilem

Použijte schválenou testovací síť a nově vytvořený základní profil, ne domácí záznam, který už funguje. Sledujte aktivaci základny, požadované UUID sekundárního a případnou výzvu k autentizaci v pořadí a poznamenejte, která fáze se zasekne, když se zasekne. Tajný agent, který je dostupný po přihlášení k ploše, není automaticky přítomen v každém kontextu spuštění, takže restart patří do testovacího plánu. Poté zkontrolujte zamýšlený prostředek a cestu selhání: nastoupí tunel dřív, než ho aplikace potřebuje, a co se stane s touto aplikací, když autentizace selže?

Poté zkontrolujte zamýšlený prostředek a cestu selhání: nastoupí tunel dřív, než ho aplikace potřebuje, a co se stane s touto aplikací, když se tunel nemůže autentizovat? Tato dvě pozorování jsou kritéria přijetí a ani jedno není vidět v samotném profilu.